可靠性、状态与事件

Anpheros 的运行环境、监控机制、每日备份与即时恢复、事件通知方式、数据导出与删除政策，以及当前未提供的服务（无 SLA、无公开状态页面）。

Anpheros 目前为保持 API 可用性和数据可恢复性所做的努力、您如何得知问题以及尚未实现的功能。 Anpheros Platform 处于私有 Beta 测试阶段；本页面陈述的是当前设置，而非作为保证提出的目标。

托管

	今日
区域	仅限欧盟：Google Cloud `europe-west4` (荷兰)，位于 Cloudflare 边缘之后
API	Cloud Run，自动扩展至最多 3 个实例；FHIR R4 位于 `/fhir/R4`，REST 位于 `/v1`
数据库	单区域托管 PostgreSQL，无自动故障转移：区域中断即为完全中断
沙盒	单独的数据库；沙盒密钥 (`sk_test_`) 无法访问生产数据
服务级别	尽力而为；Beta 版期间无合同 SLA

可用性检查 从三个区域调用平台的健康端点；当平台停止响应时，团队会收到电子邮件警报。
警报也会在以下情况触发：服务器错误率高于 5%、响应缓慢（p95 响应时间超过 2 秒，持续 10 分钟）、4xx 响应比例过高、数据库连接池耗尽、审计日志写入失败、审计链损坏、OAuth 刷新令牌被重复使用，以及 webhook 端点在多次失败后被禁用。
目前还没有公开的状态页面。 上述检查是内部进行的。状态页面将在能够显示这些检查的实际测量结果时发布，而不是一个手动编写的“所有系统运行正常”。

数据库： 每日 02:00 UTC 自动备份，保留 7 天，并支持过去 7 天的时间点恢复；已启用删除保护。
文档： 对象版本控制和存储桶上的 7 天软删除，使用客户管理的密钥进行加密。
审计日志： 数据库外部的只追加副本，每日验证是否存在缺失或篡改。
恢复演练： 2026 年 9 月 20 日，生产数据库被克隆到过去三分钟的时间点；克隆在约 10 分钟后可用，其记录计数与源匹配。完全恢复还需要重新部署，约需额外 5 分钟。

警报会通知团队；受影响的请求通过其 request id 进行追踪（每个响应都包含一个 Anpheros-Request-Id 标头；在联系我们时请引用它）。
首先撤销泄露的凭证；如果数据完整性存疑，将停止写入操作，并将数据库恢复到事件发生前的某个时间点。
受数据影响的组织将直接收到通知，通知时间遵循其数据处理协议的规定；对于个人数据泄露，将在知晓后的 72 小时内通知，符合 GDPR 的要求。
在 5 个工作日内进行事后复盘。

API 的更改，包括与安全相关的收紧，将在更新日志中公布。

导出： 记录是标准的 HL7 FHIR R4 格式；Patient/$everything 返回患者的完整记录，格式为 FHIR bundle，而 $summary 返回国际患者摘要。没有任何专有格式。
删除： 组织可以删除其写入的资源（FHIR DELETE，或 DELETE 在 /v1 资源上）；早期版本会保留在资源历史记录中。生产数据在计划结束后会发生什么，已在定价条款中说明。
审计： 每次读写操作都会被记录并对患者可见。审计行目前无限期保留；每种记录类型的保留期是待定的法律决定。

列出这些是为了让您能够围绕它们进行规划。如有疑问，请联系：[email protected]。